WordPressトラブル解決ガイド

WordPressトラブル解決ガイドでは、ログイン不能、マルウェア・ウイルス感染、プラグインの不具合など、
よくあるWordPressトラブルを症状別に整理しています。自分で確認できること、
触らない方がよいこと、クイックレスキューへ相談した方がよい状態が分かります。

よこやま良平

ITエンジニアとして20年以上WordPressに携わってきたよこやま良平です。
わたしが実際の現場で見てきたトラブルをもとに、初心者でも判断しやすい順番で整理します。

まずは症状から選んでください

ログインできない管理画面に入れない、2段階認証やパスワードで止まる 真っ白・重大なエラーサイトや管理画面が白画面、critical errorになる プラグイン不具合・競合更新・有効化後にエラー、機能停止、管理画面に入れない マルウェア・ウイルス感染警告、怪しいファイル、勝手な転送、サーバー停止が起きた 不正アクセス・改ざん知らない管理者、勝手な記事・広告・設定変更がある 警告が表示されるGoogleやブラウザに危険なサイトと出る メールが届かないWordPressやサーバーの認証メール・通知メールが届かない 表示崩れ・テーマ更新テーマ更新、CSS変更、キャッシュ後にレイアウトが崩れた サーバー・ドメインSSL、DNS、404、500、WAFなどの設定で困っている 復旧後の再発防止復旧後に何を確認すべきか分からない 実例から探す実際の復旧事例から近い症状と対応の流れを見る

緊急度の目安

今すぐ相談した方がよい状態

マルウェアが検出された、不正管理者や見覚えのないプラグインがある、別サイトへ転送される、危険なサイトと警告される状態です。

早めに確認した方がよい状態

プラグイン更新後のエラーや機能停止、メール未達、突然のアクセス急増、管理画面やサイトの動作が急に重くなった状態です。

まず自分で確認できる状態

軽い表示崩れ、特定ページだけの404、設定変更直後の不具合などは、バックアップを取ってから順番に確認できます。

最初にやってはいけないこと

原因が分からないままファイルやプラグインを大量削除する
古いバックアップを上書き復元して証拠や現在の状態を消してしまう
不正アクセスが疑われる状態でパスワード変更だけで終わらせる
エラー画面を消すためだけにセキュリティ系プラグインを停止し続ける

ログインできない時は、パスワード間違いだけでなく、2段階認証、SiteGuard、WAF、ユーザー権限の変更、不正アクセスによる管理者削除が原因になることがあります。

確認する順番

パスワード再設定メールが届くか確認する
2段階認証のバックアップコードや認証アプリを確認する
サーバー側のWAFやログイン制限の有無を確認する
身に覚えのない管理者が増えていないか確認する

管理者ユーザーが消えている、不明な管理者がいる、ログインURL自体が変わっている場合は、無理に触らずご相談ください。

ログインできない時の関連記事

この症状に近い場合は、以下の記事も参考にしてください。

真っ白画面・重大なエラーが出る時

真っ白画面や重大なエラーは、テーマ、プラグイン、PHPバージョン、メモリ不足、ファイル破損などで起こります。直前に更新したものがある場合は、そこが切り分けの起点になります。

専門家へ依頼した方がよい状態

管理画面にも入れない
エラー内容にPHPファイル名が出ているが意味が分からない
復元したらさらに状態が悪くなった
マルウェア感染や改ざんの疑いもある

真っ白画面・重大なエラーの関連記事

この症状に近い場合は、以下の記事も参考にしてください。

プラグインの不具合・競合が疑われる時

プラグインを有効化・更新した直後に不具合が始まった場合は、
そのプラグインのエラーや、テーマ・PHP・ほかのプラグインとの競合を疑います。直前に行った操作と発生時刻が、原因を絞る重要な手がかりです。

プラグインが原因の可能性がある症状

有効化や更新の直後から、真っ白画面や「重大なエラー」が出た
500エラーになり、サイトまたは管理画面を開けない
お問い合わせフォーム、決済、会員機能、エディターなど一部だけ動かない
レイアウトやボタンが崩れ、JavaScriptの機能が反応しない
WordPressから届いたリカバリーモードのメールに、特定のプラグイン名が出ている

単なる不具合として扱わない症状

自分で入れていないプラグインが増えた、停止したはずのプラグインやファイルが戻る、セキュリティプラグインが勝手に無効になる場合は、マルウェア感染や不正アクセスを疑います。次の「マルウェア・ウイルス感染」の手順へ進んでください。

プラグインの不具合・競合に関する記事

この症状に近い場合は、以下の記事も参考にしてください。

WordPressのマルウェア・ウイルス感染が疑われる時

一般に「WordPressがウイルスに感染した」と呼ばれる被害の多くは、
悪意のあるPHP・JavaScript、不正なデータベース書き換え、バックドア、盗まれた管理者アカウントなどによるものです。トップページが普通に見えていても、感染していることがあります。

パソコンに入っているウイルス対策ソフトだけでは、
Webサーバー上のWordPress内部まで確認しきれません。サイト側と、WordPressを操作するパソコン側の両方を分けて調べます。

マルウェア・ウイルス感染でよくある症状

スマホや検索経由の訪問者だけが、海外サイト・広告・詐欺ページへ転送される
Google検索結果に、外国語・カジノ・偽通販・医薬品など身に覚えのないページが出る
ブラウザ、Google、サーバー会社、セキュリティプラグインから警告や検出通知が届く
知らない管理者ユーザーや、入れた覚えのないプラグインが増えている
uploads、plugins、mu-pluginsなどに不審なPHPファイルがある
勝手な投稿、迷惑メール送信、アクセス急増、サーバー負荷や表示速度の悪化が起きた
削除した不審ファイルやページが再び作られ、同じ症状が繰り返す

感染が疑われた時に先に行う対応

感染が疑われる時は、見つけたファイルだけを急いで消すのではなく、
証拠と現在のデータを残し、被害範囲と侵入口を確認してから完全駆除することが重要です。

安全な初動と復旧の順番

異常な画面・URL・発生時刻・警告メール・サーバー会社からの通知を保存する
可能なら現在のファイル、データベース、アクセスログを安全な場所へ保全する
WordPressを操作するパソコンもウイルス・マルウェアスキャンし、安全な端末を用意する
転送やフィッシングで訪問者に被害が出る状態は、サーバー会社と相談して一時的に公開を制限する
管理者、プラグイン、テーマ、WordPress本体、uploads、mu-plugins、データベース、Cron、サーバーログを調べ、同じサーバー内の別のWordPressや古いCMSも確認する
不正コードとバックドアをすべて除去し、侵入口を更新・設定変更で塞ぐ
WordPress・サーバー・FTP・データベース・メールの認証情報を安全な端末から変更し、管理者セッションも無効化する
PC・スマホ・検索結果・メール送信・サーバー負荷を再確認し、警告があれば原因除去後に再審査を申請する

バックアップ復元やパスワード変更だけでは、バックドアや脆弱な侵入口が残って再感染することがあります。